Django 自定义Storage子类存在路径遍历漏洞
漏洞描述 Django 是Python编写的开源Web应用框架，generate_filename 方法是 django.core.files.storage.Storage 类中用于生成文件名的方法。 受影响版本中，如果开发者重写 django.core.files.storage.Storage 的 generate_filename 方法时未对文件名进行校验则会导致路径遍历漏洞。 攻击者可利用该漏洞构造恶意的文件名(如：../)，当目标系统调用 save() 方法保存文件时可读取或修改系统上的敏感文件。 漏洞名称 Django 自定义Storage子类存在路径遍历漏洞 漏洞类型 路径遍历 发现时间 2024-07-11 漏洞影响广度 - MPS编号 MPS-h7y8-9a6p CVE编号 CVE-2024-39330 CNVD编号 - 影响范围 django@[4.2, 4.2.14) django@[5.0, 5.0.7) python-django@(-∞, 4.2.14-1) 修复方案 将组件 django 升级至 5.0.7 及以上版本 将组件 python-django...
